Trotz Fortschritt: Banken-Mitarbeiter zweifeln am sicheren Einsatz von KI

Schwerpunkt: Threat Intelligence

Künstliche Intelligenz (KI), Cyber­attacken, Awareness Schulungen – IT-Security-Verantwortliche in Banken, Versicherungen und bei Finanz­dienstleistern haben zahlreiche Themen auf ihrer Agenda. Wie der aktuelle Stand beim Einsatz Künstlicher Intelligenz ist und welche Herausforderungen Verantwortliche darüber hinaus lösen müssen, zeigt die repräsentative Studie „Cybersicherheit in Zahlen“ von G DATA CyberDefense in Zusammenarbeit mit Statista und brand eins. Die Ergebnisse zeigen: Obwohl der Finanz- und Versicherungsbereich in vielen Dingen besser aufgestellt ist, gibt es trotzdem noch Luft nach oben – insbesondere beim Thema KI.

von Tim Berghoff, Security Evangelist bei G DATA CyberDefense

Immer wieder zeigen neue KI-Anwendungen, wie Unternehmen von KI profitieren und Effizienz sowie Qualität etwa im Kundenservice verbessern können. Gleichzeitig diskutieren Fachleute aber auch über notwendige Grenzen und Gefahren. Angesichts der aktuellen Diskussionen stellen sich Fragen, wie Angestellte ihren Wissenstand in Bezug auf KI einschätzen und welche Maßnahmen Unternehmen zur sicheren Anwendung von KI umsetzen.

Bereits zum vierten Mal hat Statista im Auftrag von G DATA CyberDefense eine repräsentative Studie zum Stand der IT-Sicherheit in Deutschland geführt. Mehr als 5.000 Arbeitnehmerinnen und Arbeitnehmer, davon mehr als 300 aus dem Sektor Finanzen und Versicherungen, wurden im beruflichen und privaten Kontext befragt.

 

Über 77 Prozent aller befragten Personen aus Banken und Versicherungen schätzen ihren Wissensstand zu KI nur als grundlegend oder vielmehr durchschnittlich ein. Immerhin bescheinigen sich über 22 Prozent umfangreiche Kenntnisse als Fortgeschrittener oder Experte.”

Gleichzeitig äußern die Befragten viele Sorge in Bezug auf den KI-Einsatz im eigenen Unternehmen. Vier von Zehn haben Bedenken mit Blick auf den Datenschutz – angesichts der Verarbeitung und Speicherung persönlicher Finanzdaten von Kunden nachvollziehbar. Zudem zeigen sich die Angestellten der Finanz- und Versicherungsindustrie besorgt wegen der möglichen Manipulation von KI-Systemen (39 Prozent) oder einer mangelnden Kontrolle (37 Prozent), die beunruhigt. Auch Haftungsfragen und die fehlende Nachvollziehbarkeit von Entscheidungen werden immer wieder genannt. Hier müssen die Verantwortlichen in Unternehmen tätig werden und die Bedenken der Angestellten ernst nehmen. Dafür müssen sie entsprechende Maßnahmen finden, um die Anwendungen abzusichern sowie Wissen aufzubauen und schlussendlich deren Vertrauen zu gewinnen. Dazu zählen beispielsweise Verschlüsselungstechnologien, Schulungen der Mitarbeiter oder KI-Guidelines.

Cyberattacken: Das unterschätzte Risiko

Aber nicht nur Kompetenz bei KI ist wichtig. Angesichts der großen Bedrohungslage braucht es auf allen Ebenen im Unternehmen IT-Sicherheitswissen.

Denn: Jede und jeder, in jedem Fachbereich, in jeder Hierarchiestufe ist ein potenzielles Ziel für Cyberangriffe.”

Die Umfrage zeigt aber, dass die IT-Sicherheitskompetenzen auch im Finanz- und Versicherungssektor immer noch sehr heterogen sind. Mehr als 41 Prozent der Befragten schätzen ihre persönliche Kompetenz beim Thema IT-Sicherheit als groß oder sehr groß ein. Und somit deutlich besser als der Durchschnitt (28,6 Prozent). Auf der anderen Seite bescheinigt sich jede und jeder Achte ein geringes und sehr geringes Wissen (Durchschnitt: 27,1 Prozent).

Die Studie zeigt auch, dass sich die Angestellten bewusst sind, dass Finanzdienstleister und Versicherungen für Angreifer attraktiv sind. So bejahen mehr als drei Viertel der Befragten aus dem Finanz- und Versicherungssektor die Frage, ob ihr Unternehmen aus ihrer Sicht ein interessantes Angriffsziel für Cyberkriminelle ist. Über alle Branchen hinweg liegt der Anteil nur bei 57 Prozent.

Nur jeder Fünfte sagt, dass Banken, Finanzdienstleister und Versicherungen kein attraktives Ziel sind (Durchschnitt: 42,9 Prozent).”

Und bei der Frage nach dem Warum sind zwei Faktoren von besonderer Bedeutung. Sieben von zehn Befragten geben als Grund an, dass ihr Arbeitgeber eine große Menge sensibler Daten (z. B. persönliche Informationen von Kunden oder Geschäftsgeheimnisse) verarbeitet und speichert. Und drei Viertel sagen, dass sie in einer Branche arbeiten, die häufig das Ziel von Cyberangriffen ist.

Updates für das menschliche Verhalten

In den vergangenen Jahren hat sich die Erkenntnis durchgesetzt, dass es Angestellte mit IT-Sicherheitskompetenzen braucht, um Angriffsversuche etwa durch Phishing oder Social Engineering frühzeitig zu erkennen. Immer wieder nehmen Cyberkriminelle Angestellte direkt ins Visier und nutzen persönliche Faktoren wie Gier, Neugier oder Zeitdruck aus. Aber so einfach lässt sich dieses menschliche Verhalten nicht anpassen. Also überrascht es nicht, wenn Menschen neugierbedingte Handlungen vornehmen und dabei unter Umständen die Sicherheit von Unternehmen gefährden.

Jeder dritte Befragte hat schon eine potenziell unsichere Webseite oder Datei geöffnet beziehungsweise einen unbekannten QR-Code gescannt. Auch das Klicken auf Pop-up-Werbung passiert immer wieder.”

Vor diesem Hintergrund kommen Security Awareness Trainings eine zentrale Rolle zu, um das Bewusstsein der Angestellten gegenüber digitalen Risiken zu schärfen.

Dabei sind Banken und Finanzdienstleister bei dem Thema deutlich besser aufgestellt als andere Branchen wie Handel, Gesundheit oder öffentlicher Dienst. Sechs von zehn Befragten geben an, dass das eigene Unternehmen für alle Mitarbeiterinnen und Mitarbeitern regelmäßig Schulungen, Veranstaltungen oder Trainings rund um das Thema Cybersicherheit anbietet – ein Wert, der weit über dem Branchendurchschnitt liegt (36,2 Prozent). Von unregelmäßigen Schulungen berichtet jeder Vierte und jeder Zehnte gibt an, dass nur ausgewählte Abteilungen geschult werden. Dabei verschicken Cyberkriminelle ihre Phishing-Nachrichten gerne an die Buchhaltung oder ans Recruiting – mit gefälschten Rechnungen oder Lebensläufen locken sie gezielt diese Angestellten in die Falle. Hier haben die Verantwortlichen also noch Nachholbedarf.

Defizite erkennen und angehen

Auch wenn Finanzdienstleiter und Versicherungen beim Thema Cybersicherheit überdurchschnittlich gut aufgestellt sind, dürfen IT-Verantwortliche dieses Handlungsfeld nicht aus den Augen verlieren. Daher ist ein Blick auf die IT-Security-Strategie empfehlenswert. Wer jetzt sein IT-Sicherheitsniveau überprüft, Defizite priorisiert und diese konsequent abarbeitet, geht den ersten Schritt, um sich besser gegen Cyberattacken abzusichern. Dabei sollten sich alle bewusst sein, dass der Kampf gegen Cyberkriminelle niemals endet. Daher darf auch das eigene Bemühen um die bestmögliche Absicherung kein Ende finden.Tim Berghoff, G DATA CyberDefense/aj